| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2025-68671 | MEDIUM | 6.5 | Git |
lakeFS의 S3 게이트웨이가 인증된 요청에 대한 타임스탬프를 검증하지 않아 재시도 공격이 가능합니다. 1.75.0 이전 버전에서 공격자가 유효한 서명된 요청을 캡처할 경우, 요청이 만료될 때까지 재시도할 수 있습니다.
|
2026-01-15 | 2026-01-16 15:55 |
| CVE-2025-67084 | MEDIUM | 6.5 | PHP |
인보이스플레인(InvoicePlane) 1.6.3 이전 버전에서 인증된 공격자가 임의의 PHP 파일을 첨부 파일로 업로드하여 원격 코드 실행(RCE) 취약점을 이용할 수 있는 파일 업로드 취약점
|
2026-01-15 | 2026-01-16 15:55 |
| CVE-2025-13781 | MEDIUM | 6.5 | Git |
GitLab EE의 모든 버전에서 인증된 사용자가 인스턴스 전체 AI 기능 제공자 설정을 수정할 수 있는 취약점이 발견되어 보안 조치가 취해졌습니다.
|
2026-01-09 | 2026-01-09 10:15 |
| CVE-2025-10569 | MEDIUM | 6.5 | Git |
GitLab CE/EE에서 발생한 인증된 사용자가 외부 API 호출에 조작된 응답을 제공하여 서비스 거부 조건을 만들 수 있는 취약점
|
2026-01-09 | 2026-01-09 10:15 |
| CVE-2025-58441 | MEDIUM | 6.5 | Magento Open Source |
Knowage 오픈소스 분석 및 비즈니스 인텔리전스 제품군에서 발견된 Blind SSRF 취약점입니다. 공격자는 임의의 호스트나 경로로 요청을 보낼 수 있으며, 이를 통해 내부 네트워크를 스캔할 수 있습니다. 이 문제는 버전 8.1.37에서 패치되었습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14901 | MEDIUM | 6.5 | WordPress |
WordPress용 Bit Form – Contact Form Plugin의 triggerWorkFlow 함수에서 권한 검증 누락으로 인해 승인되지 않은 워크플로 실행이 가능합니다. 논리적 결함으로 인해 인증되지 않은 공격자가 정상적인 폼 제출 응답에서 획득한 ID를 사용하여 웹훅, 이메일 알림, CRM 통합 등의 자동화 기능을 악용할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-14867 | MEDIUM | 6.5 | WordPress |
WordPress용 Flashcard 플러그인의 'flashcard' 숏코드 내 'source' 속성에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이 취약점을 통해 기여자(Contributor) 이상의 권한을 가진 인증된 공격자가 서버의 임의 파일을 읽어 민감한 정보를 탈취할 수 있습니다.
|
2026-01-07 | 2026-10-07 09:10 |
| CVE-2025-69360 | MEDIUM | 6.5 | Codex |
CodexThemes의 TheGem Theme Elements(WPBakery용)에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 DOM 기반 교차 사이트 스크립팅(XSS) 취약점입니다. 이 문제는 해당 플러그인의 특정 버전에서 발생하여 공격자가 악성 스크립트를 실행할 수 있게 합니다.
|
2026-01-06 | 2026-10-07 09:10 |
| CVE-2025-69357 | MEDIUM | 6.5 | Codex |
CodexThemes의 TheGem Theme Elements (Elementor용) 플러그인에서 저장형 XSS(Cross-site Scripting) 취약점이 발견되었습니다. 이 취약점은 웹 페이지 생성 과정에서 입력값에 대한 적절한 중화 처리가 이루어지지 않아 발생합니다. 해당 문제는 버전 5.11.0 이하의 모든 버전에서 영향을 받습니다.
|
2026-01-06 | 2026-10-07 09:10 |
| CVE-2025-9637 | MEDIUM | 6.5 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인 10.3.1 이하 버전에서 권한 및 상태 확인 미흡으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 비공개 또는 비밀번호로 보호된 퀴즈의 세부 정보를 열람하거나, 파일 업로드가 가능한 질문에 파일을 제출할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-9318 | MEDIUM | 6.5 | WordPress |
WordPress용 Quiz and Survey Master (QSM) 플러그인의 'is_linking' 파라미터에서 시간 기반 SQL 인젝션 취약점이 발견되었습니다. 이 취약점은 사용자 입력값에 대한 불충분한 이스케이프 처리와 SQL 쿼리 준비 부족으로 인해 발생합니다. 이를 통해 구독자 권한 이상의 인증된 공격자가 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-5919 | MEDIUM | 6.5 | WordPress |
WordPress용 WP Timetics 플러그인 1.0.36 이하 버전에서 권한 확인 절차 누락으로 인해 발생하는 취약점입니다. 인증되지 않은 공격자가 예약 정보를 조회하거나 수정할 수 있는 권한 탈취 위험이 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-69197 | MEDIUM | 6.5 | Multi-Domain Security Management Server |
Pterodactyl 게임 서버 관리 패널 1.11.11 이하 버전에서 TOTP(일회용 비밀번호)가 유효 시간 내에 여러 번 사용될 수 있는 취약점이 발견되었습니다. 2FA가 활성화된 상태에서 토큰이 사용된 것으로 충분히 표시되지 않아, 공격자가 토큰을 가로챌 경우 유효 시간 내에 계정에 접근할 수 있습니다.
|
2026-01-06 | 2026-10-07 10:10 |
| CVE-2025-69224 | MEDIUM | 6.5 | Python |
AIOHTTP의 Python HTTP 파서(3.13.2 이하 버전)에서 비 ASCII 문자가 포함된 경우 요청 스머글링 공격이 발생할 수 있습니다. C 확장 기능 없이 순수 Python 버전으로 설치되었거나 AIOHTTP_NO_EXTENSIONS가 활성화된 경우, 공격자가 방화벽이나 프록시 보호를 우회할 수 있습니다.
|
2026-01-05 | 2026-10-11 20:10 |
| CVE-2025-67732 | MEDIUM | 6.5 | Dify |
Dify는 오픈소스 LLM 애플리케이션 개발 플랫폼입니다. 1.11.0 미만 버전에서는 API 키가 프론트엔드에 평문으로 노출되어, 관리자가 아닌 사용자도 이를 확인하고 재사용할 수 있습니다. 이로 인해 제3자 서비스에 대한 무단 액세스가 발생하고 할당된 쿼터가 소모될 수 있습니다.
|
2026-01-05 | 2026-10-07 10:10 |
| CVE-2025-68280 | MEDIUM | 6.5 | Microsoft Exchange Server |
Apache SIS에서 XML 외부 엔티티(XXE) 참조 제한이 부적절하게 이루어져 발생하는 취약점입니다. 공격자가 조작된 XML 파일을 통해 서버 내의 로컬 파일을 탈취할 수 있습니다.
|
2026-01-05 | 2026-10-07 10:10 |
| CVE-2025-15239 | MEDIUM | 6.5 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI 의료 클라우드 플랫폼에 SQL 인젝션 취약점이 존재합니다. 인증된 원격 공격자가 임의의 SQL 명령을 주입하여 데이터베이스 내용을 읽을 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-15238 | MEDIUM | 6.5 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI 의료 클라우드 플랫폼에 SQL 인젝션 취약점이 존재합니다. 인증된 원격 공격자가 임의의 SQL 명령을 주입하여 데이터베이스 내용을 읽을 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-15235 | MEDIUM | 6.5 | VMware Telco Cloud Platform |
Quanta Computer에서 개발한 QOCA aim AI 의료 클라우드 플랫폼에 권한 부여 누락 취약점이 발견되었습니다. 인증된 원격 공격자가 특정 네트워크 패킷 매개변수를 수정하여 시스템 함수가 다른 사용자의 파일에 접근할 수 있도록 조작할 수 있습니다.
|
2026-01-05 | 2026-10-07 11:10 |
| CVE-2025-53597 | MEDIUM | 6.5 | Windows Admin Center |
License Center에서 버퍼 오버플로우 취약점이 발견되었습니다. 원격 공격자가 관리자 권한을 획득할 경우, 이 취약점을 악용하여 메모리를 수정하거나 프로세스를 강제로 종료시킬 수 있습니다.
|
2026-01-02 | 2026-10-14 13:10 |
| CVE-2025-48768 | MEDIUM | 6.5 | Windows iSCSI Target Service |
Apache NuttX RTOS의 fs/inode/fs_inoderemove 코드에서 잘못된 포인터 또는 참조가 해제되는 취약점이 발견되었습니다. 이 취약점을 악용하면 루트 파일시스템의 inode를 삭제하여 디버그 어설션 트리거, NULL 포인터 역참조 또는 서비스 거부(DoS) 상태를 유발할 수 있습니다.
|
2026-01-01 | 2026-10-07 11:10 |
| CVE-2025-28973 | MEDIUM | 6.5 | WordPress |
WordPress용 AA-Team Pro Bulk Watermark 플러그인에서 경로 탐색(Path Traversal) 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 '.../...//'와 같은 특수 문자를 사용하여 서버의 의도하지 않은 디렉토리에 접근할 수 있습니다.
|
2025-12-31 | 2026-09-23 14:10 |
| CVE-2025-69202 | MEDIUM | 6.5 | IBM WebSphere Application Server |
Axios Cache Interceptor 1.11.1 미만 버전에서 인증 토큰을 무시하고 URL만으로 캐시 키를 생성하여 발생하는 권한 우회 취약점입니다. 서버가 Vary: Authorization 헤더를 통해 응답 차별화를 요청해도 이를 무시하므로, 서로 다른 사용자의 요청이 동일한 캐시 데이터를 공유하게 됩니다. 이로 인해 다른 사용자의 데이터가 유출될 수 있는 보안 위험이 존재합니다.
|
2025-12-29 | 2026-10-07 12:10 |
| CVE-2025-14178 | MEDIUM | 6.5 | PHP |
PHP 버전 8.1.* ~ 8.5.*에서 array_merge() 함수에 대한 힙 버퍼 오버플로 취약점이 발견되었습니다. 이는 총 요소 개수가 32비트 한계 또는 HT_MAX_SIZE를 초과할 때 발생하며, 이는 zend_hash_num_elements() 함수에서 요소 개수를 미리 계산할 때 정수 오버플로로 인해 발생합니다. 이 취약점은 메모리 손상 또는 충돌을 일으켜 대상 서버의 무결성과 가용성을影响할 수 있습니다.
|
2025-12-27 | 2026-10-13 09:10 |
| CVE-2025-68597 | MEDIUM | 6.5 | WordPress |
BlueGlass Interactive AG의 WordPress 구인 게시물 플러그인에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 저장형 XSS 취약점입니다. 이 문제는 Jobs for WordPress 버전 n/a부터 2.8.1 이하 버전까지 영향을 미칩니다.
|
2025-12-24 | 2026-10-07 13:10 |
| CVE-2025-68559 | MEDIUM | 6.5 | Codex |
CodexThemes의 TheGem Theme Elements (Elementor용)에서 웹 페이지 생성 중 입력값이 적절히 중화되지 않아 발생하는 교차 사이트 스크립팅(XSS) 취약점입니다. 이 문제는 해당 플러그인의 n/a 버전부터 5.10.5.1 버전 이하까지 영향을 미칩니다.
|
2025-12-23 | 2026-10-19 22:10 |
| CVE-2025-67436 | MEDIUM | 6.5 | PHP |
PluXml CMS 5.8.22에서 인증된 원격 코드 실행(RCE) 취약점이 발견되었습니다. 관리자 패널에 접근한 공격자가 테마 파일에 악성 PHP 웹셸을 삽입할 수 있습니다.
|
2025-12-22 | 2025-12-23 14:51 |
| CVE-2025-8304 | MEDIUM | 6.5 | IBM Verify Identity Access |
터미널 서버에서 실행 중인 Check Point Identity Agent의 Windows 레지스트리 키에 민감한 정보가 노출되는 취약점입니다. 인증된 로컬 사용자는 이 정보를 이용해 다른 사용자의 보안 정책 규칙을 탈취할 수 있습니다.
|
2025-12-22 | 2026-10-19 22:10 |
| CVE-2025-66911 | MEDIUM | 6.5 | Log Server |
Turms IM Server v0.10.0-SNAPSHOT 및 이전 버전에서 사용자 온라인 상태 조회 기능에 권한 제어 결함이 발견되었습니다. UserServiceController.java의 handleQueryUserOnlineStatusesRequest() 메서드는 적절한 권한 확인 없이 인증된 사용자가 임의의 사용자의 온라인 상태, 기기 정보 및 로그인 시간을 조회할 수 있게 허용합니다.
|
2025-12-19 | 2026-10-13 11:10 |
| CVE-2025-67074 | MEDIUM | 6.5 | Apache HTTP Server |
Tenda AC10V4.0 V16.03.10.20의 httpd 바이너리에서 발생하는 버퍼 오버플로 취약점으로 인해 원격 공격자가 서비스 거부 및 코드 실행을 유발할 수 있다.
|
2025-12-17 | 2026-10-13 11:10 |